CN1456983A - 基于外部身份认证的坚持授权上下文 - Google Patents

基于外部身份认证的坚持授权上下文 Download PDF

Info

Publication number
CN1456983A
CN1456983A CN03123496A CN03123496A CN1456983A CN 1456983 A CN1456983 A CN 1456983A CN 03123496 A CN03123496 A CN 03123496A CN 03123496 A CN03123496 A CN 03123496A CN 1456983 A CN1456983 A CN 1456983A
Authority
CN
China
Prior art keywords
unique identifier
sid
identifier
puid
computational resource
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN03123496A
Other languages
English (en)
Other versions
CN100367249C (zh
Inventor
D·R·莫厄尔斯
D·杜布罗夫基尼
R·莱班
D·E·施密特
R·维斯瓦纳塔恩
J·E·布雷扎克
R·E·沃德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN1456983A publication Critical patent/CN1456983A/zh
Application granted granted Critical
Publication of CN100367249C publication Critical patent/CN100367249C/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Abstract

提供了一些方法和系统，用于允许由被委托的外部服务加以身份认证的用户在受控层次上对所选择的本地计算资源进行访问，而不要求用户也具有关于各种资源的传统的访问控制性能。

Description

基于外部身份认证的坚持授权上下文
相关的专利申请
本专利申请涉及2001年6月20日提交的标题为《用于控制身份认证证书的授权范围的方法和系统》的第09/886,146号美国专利申请，该专利申请被包括于此，用作参考。
技术领域
本发明通常涉及计算机访问控制，尤其涉及用于根据用户的外部身份认证来为该用户提供一个本地系统授权上下文的方法和系统。
背景技术
访问控制对于计算机安全而言极为重要。为了保护计算机系统的完整性和重要数据的机密性，已执行各种访问控制方案，来防止未经授权的用户和怀有恶意的攻击者对计算机资源进行访问。
为确保计算机安全的全面性，经常在各种层次上执行访问控制。例如，在一台计算机的层次上，通常要求用户经历登录程序，在登录程序中，计算机确定该用户是否被授权使用这台计算机。此外，在计算机网络的层次上，通常要求用户经历用户身份认证程序，其目的是控制用户对各种网络服务的访问。即使在网络访问控制服务器已身份认证用户之后，用户也可能仍然必须请求关于特殊服务器的许可证，才能访问那项服务。已提议并执行基于不同协议(例如，Kerberos5协议)的各种方案，用于通过用户身份认证来控制网络访问控制。
通常，计算机的用户登录和网络访问控制的用户身份认证是两个分开的程序。然而，为了将用户处理不同的访问控制方案的负担减到最小，有时一起执行用户登录和网络访问的用户身份认证。例如，如果在Kerberos协议下执行用户身份认证，那么，当用户登录到计算机时，计算机也可以启动Kerberos身份认证过程。在Kerberos身份认证过程中，计算机联系Kerberos密钥分配中心(KDC)，来首先获得给用户的票许可票(TGT)。然后，计算机可以使用TGT从KDC那里获得自己的通话票。
随着网络的发展，已产生一种趋势：将多层服务器/服务计算机布置成处理客户计算机请求。一个简单的例子是：客户计算机经由互联网向“万维网”网站提出请求。这里，可能有处理该请求的格式化和有关商业规则的一个前端网络服务器，以及为该网站管理一个数据库的一个后端服务器。关于附加的安全性，可以对网站进行配置，以便身份认证协议将证书(例如，用户的TGT)和/或(可能)其他信息从前端服务器发送(或授权)给后端服务器。在许多网站和/或其他多层网络中，这种操作正变得日益普遍。
当所有的服务器/服务和客户都同意使用相同的身份认证程序时，授权和其他类似的技术很有用。但是，当今使用不止一个身份认证程序。第09/866,146号未授权的美国专利申请表现了用于控制授权的改进措施。
如果用户为网络/系统身份认证用户，那么，通常有一项或多项附加的授权访问控制检查，以防止用户访问他/她未经授权可以访问的资源。一旦用户已被身份认证并已通过可应用的访问控制，就称用户被“授权”。在某些系统中，例如，访问控制建立在具有各种服务和资源(即对象)的访问控制清单(ACLs)的基础上。ACL通常包括访问控制项目(ACEs)，其中可以包括零个或多个安全标识符(SIDs)。SIDs可能与被允许访问对象的一位用户或几组用户有关。如果ACL中没有SIDs，那么，将没有用户可以访问对象。如果ACL中有SIDs，那么，至少能够产生一个匹配SID的用户将被允许访问对象。
这样，当被身份认证的用户登录时，(例如)通过生成与用户有关的一个标记(例如，访问标记)，来为用户创建一个身份认证上下文。该标记通常包括与用户有关的SIDs。例如，用户的标记可以包括被分配给用户的一个唯一的SID，以及被分配给用户的营业部的一组SID。当用户试图访问一个对象时，将该对象的ACL与用户的标记进行比较。如果用户的标记包括与对象的ACL内的一个SID相匹配的至少一个SID，那么，用某种方式来授权被身份认证的用户访问对象。例如，用户可能已阅读和书写关于他/她的营业部的其他成员(即另一组成员)所建立的一个文件的许可。
这种授权方案往往很适用于被加以仔细控制和管理的系统。例如，公司内的企业层次计算机网络通常提供一种内聚性的环境，其中，用户和ACLs可以由集中式和/或分布式身份认证与访问控制系统加以仔细地控制。另一方面，关于大型网络(例如，互联网和/或另外值得注目的非内聚性网络)，尤其当需要尽可能地为用户中的许多人服务(包括没有本地访问控制帐户的用户)时，身份认证和访问控制会困难得多。随着软件程序和资源向基于网络的服务发展，将会更加需要能够授权用户与这类网络服务有关的活动。
结果，需要被改进的授权方法和系统。较佳的是，这些方法和系统将允许由被委托的外部资源进行身份认证的用户在某种受控的层次上访问某些对象，而不要求用户也具备与对象有关的一个唯一的用户帐户。而且，这些方法和系统不应该使能够为大量用户提供对对象的访问的布置的可量测性发生严重的退化。
发明内容
这里提供各种被改进的方法和系统，它们允许由被委托的外部资源进行身份认证的用户在各个受控层次上访问所选择的对象，而不要求用户也具备一个唯一的本地用户帐户。这些方法和系统的实施不会使计算机系统和/或网络布置的可量测性发生严重的退化(这里计算机系统和/或网络布置被配置成为大量用户提供对各种资源的访问)。
例如，通过对至少一个计算资源提供访问控制的一种方法，可以满足上述的需求和其他需求。该方法包括：接收与正在寻求访问计算资源的用户有关的一个唯一的标识符。较佳的是，该唯一的标识符已由另一个计算资源建立，这另一个计算资源被认为是可信的并/或以某种方式为用户服务和经常身份认证用户。该方法包括：将所接收的唯一的标识符翻译成适用于保护计算资源的访问控制机制的一个安全标识符(SID)。该方法还包括：确定该SID是否与访问控制机制以前所存储的并与计算资源有关的至少另一个SID相匹配。在某些示范实施中，该唯一的标识符包括(例如)由微软公司所提供的“护照”服务使用的一个对方式的唯一标识符(PUID)，访问控制机制使用访问控制清单(ACL)来建立被允许访问计算资源的用户或用户组。
根据本发明的某些其他实施，提供了一种方法，用于建立对至少一个计算资源的访问控制许可。这里，该方法包括：接收至少一位用户的至少一个电子邮件(e-mail)地址，该用户将被同意至少对计算资源进行有限的访问。该方法还包括：将该电子邮件地址提供给一项可信的服务，该服务能够根据该电子邮件地址来返回与这位用户有关的一个唯一的标识符。该方法包括：接收该唯一的标识符，然后根据该唯一的标识符来设置至少一个访问控制许可。这可以包括：(例如)将该唯一的标识符翻译成一个SID，并使该SID与计算资源的至少一个访问控制清单ACL关联。
根据本发明的其他方面，提供了一种将PUID翻译成对应的SID的方法。该方法包括：接收PUID，将它再分为至少一个子权限标识符部分和至少一个成员标识符部分，并安排该子权限标识符部分和成员标识符部分构成SID。
还根据本发明的某些实施提供了一种用于控制对至少一个计算资源的访问的系统。该系统包括逻辑和存储器，可以将该逻辑和存储器配置成：接收与将被提供对计算资源的访问的用户有关的一个唯一的标识符，将该唯一的标识符翻译成一个安全标识符(SID)，并确定该SID是否与被存储在存储器中并与计算资源有关的至少另一个SID相匹配。
提供某些示范系统，用于为计算资源设置访问控制许可。一种系统包括连接第一个设备和至少另一个设备的一个通信网络。将第一个设备配置成：接受至少一位用户的一个电子邮件地址，该用户将被同意至少对计算资源进行有限的访问；在网络上将该电子邮件地址提供给另一个设备；在网络上从另一个设备接收与该电子邮件地址有关的一个对应的、唯一的标识符；并根据该唯一的标识符来设置与计算资源有关的至少一个访问控制许可。将另一个设备配置成：在网络上接收该电子邮件地址，将该电子邮件地址转换为唯一的标识符，并在网络上将该唯一的标识符输出到第一个设备。
附图说明
通过参考以下详细的描述并结合附图，可以更完整地了解本发明的各种方法和系统。在这些附图中：
图1是方框图，总体展示了适用于本发明的某些实施的一种示范计算机系统。
图2是方框图，描绘了在客户服务器环境内加以执行并适用于本发明的某些实施的一个用户服务代理(S4U2代理)程序。
图3A是方框图，描绘了在客户服务器环境内加以执行并适用于本发明的某些应用的一个用户服务自我(S4U2自我)程序。
图3B是方框图，描绘了在客户服务器环境内加以执行并适用于本发明的某些实施的一个用户服务自我(S4U2自我)程序。
图4是示意图，描绘了适用于本发明的某些实施的一种示范消息格式的各个所选部分。
图5是示意方框图，描绘了根据本发明的某些示范实施的一种系统和程序，用于将本地访问控制提供给被委托的资源所身份认证的用户。
图6是示意方框图，描绘了根据本发明的某些方面的一种系统和程序(例如，如图5中所示)的一项示范运用，该系统和程序用于允许没有本地访问控制帐户的用户访问具有充分授权委托程度的某些资源。
具体实施方式
纵览
在身份认证用户/资源并/或为试图访问某些资源的用户提供一个授权上下文的过程中，可以执行这里所描述的一些示范方法和系统。
下一个章节描述了一种示范计算环境。那以后的章节简要描述了示范的S4U2代理技术和S4U2自我技术，它们是第09/886,146号关联未决的美国专利申请的主题。
其后，在附图中描述并示出根据本发明的某些方面的一些技术，用于提供一种新颖的授权方案。例如，提供了一些被改进的方法和系统，以允许由被委托的外部服务进行身份认证的客户服务(例如，用户)在受控的层次上对所选择的本地服务器资源进行访问，而不要求客户服务也具有本地访问控制性能。将会明白，可以按各种方法来使用这里所描述的各种授权方案，以改进计算资源的安全性并提高用户访问由这些计算资源提供的服务的能力。示范计算环境
参考附图，其中，类似的参考数字指示类似的元件，本发明被展示为在一个合适的计算环境中加以执行。虽然未作要求，但是，将在正由个人计算机执行的计算机可执行指令(例如，程序模块)的一般上下文中描述本发明。程序模块通常包括执行特殊任务或实施特殊的抽象数据类型的例行程序、程序、对象、部件、数据结构等。而且，精通该技术领域的人将会理解，可以用其他的计算机系统配置(包括手持设备、多处理器系统、基于微处理器的或可编程的消费电子设备、网络PCs、小型计算机、大型计算机和类似物)来实践本发明。本发明也可以在分布式计算环境中得到实践，在该环境中，由通过通信网络而被连接的各个远程处理设备来执行任务。在分布式计算环境中，程序模块可以被定位在本地内存存储设备和远程内存存储设备中。
图1展示了合适的计算环境120的一个例子，可以对其实施随后所描述的方法和系统。
示范计算环境120只是合适的计算环境的一个例子，并非意在对这里所描述的被改进的方法和系统的使用或功能性的范围进行任何限制。也不应该将计算环境120解释成具有涉及计算环境120中所展示的任何一个部件或部件组合的任何从属性或要求。
这里被改进的方法和系统可用于许多其他通用或专用的计算系统环境或配置。可能合适的众所周知的计算系统、环境和/或配置的例子包括(但不局限于)个人计算机、服务器计算机、薄弱客户、密集客户、手持或便携式设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PCs、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境，等等。
如图1所示，计算环境120包括采取计算机130的形式的一个通用计算设备。计算机130的部件可以包括一个或多个处理器或处理部件132、一个系统存储器134，以及将包括系统存储器134的各种系统部件耦合到处理器132的一个总线136。
总线136表示几种类型的总线结构中的任何一种或多种总线结构，包括一个存储总线或存储控制器、一个外围总线、一个加速图形端口，以及使用各种总线构造中的任何总线构造的一个处理器或本地总线。举例来讲(不作限制)，这类构造包括“工业标准结构”(ISA)总线、“微通道结构”(MCA)总线、“增强的ISA”(EISA)总线、“视频电子标准协会”(VESA)本地总线，以及也被称作“中层楼(Mezzanine)总线”的“外围部件互连”(PCI)总线。
计算机130通常包括各种计算机可读介质。这种介质可以是可由计算机130进行存取的任何可用的介质，它包括易失和非易失介质、可移动和不可移动介质。
在图1中，系统存储器134包括采取易失存储器(例如，随机存取存储器(RAM)140)和/或非易失存储器(例如，只读存储器(ROM)138)的形式的计算机可读介质。一个基本输入/输出系统(BIOS)142被存储在ROM138中，基本输入/输出系统142所包含的基本例行程序有助于在计算机130内的各个元件之间传递信息(例如，在启动期间)。RAM140通常包含可以立即被存取并/或目前正由处理器132进行操作的数据和/或程序模块。
计算机130还可以包括其他可移动/不可移动的易失/非易失计算机存储介质。例如，图1展示了用于从不可移动的非易失磁性介质(未示出，通常被称作“硬驱动器”)进行读取并对其进行书写的一个硬盘驱动器144、用于从可移动的非易失磁盘148(例如，“软盘”)进行读取并对其进行书写的一个磁盘驱动器146，以及用于从可移动的非易失光盘152(例如，CD-ROM/R/RW、DVD-ROM/R/RW/+R/RAM或其他光学介质)进行读取或对其进行书写的一个光盘驱动器150。硬盘驱动器144、磁盘驱动器146和光盘驱动器150都通过一个或多个接口154而被连接到总线136。
这些驱动器和有关的计算机可读介质为计算机130提供计算机可读指令、数据结构、程序模块和其他数据的非易失存储。虽然这里所描述的示范环境使用硬盘、可移动磁盘148和可移动光盘152，但是，精通该技术领域的人应该理解，能够存储可由计算机进行存取的数据的其他类型的计算机可读介质(例如，盒式磁带、快闪记忆卡、数字录象磁盘、随机存取存储器(RAMs)、只读存储器(ROM)和类似物)也可以被用于示范操作环境中。
许多程序模块可以被存储在硬盘、磁盘148、光盘152、ROM138或RAM140上，这些程序模块包括(例如)操作系统158、一个或多个应用程序160、其他程序模块162和程序数据164。
可以在操作系统158、一个或多个应用程序160、其他程序模块162和/或程序数据164内执行这里所描述的被改进的方法和系统。
用户可以通过输入设备(例如，键盘166)和定点设备168(例如，“鼠标”)来将命令和信息提供到计算机130中。其他输入设备(未示出)可以包括话筒、操纵杆、游戏垫、圆盘式卫星电视天线、串行端口、扫描仪、摄像机等。这些和其他的输入设备通过与总线136耦合的用户输入接口170而被连接到处理部件132，但也可以由其他接口和总线结构(例如，并行端口、游戏端口或通用串行总线(USB))来加以连接。
监视器172或其他类型的显示设备也经由一个接口(例如，视频适配器174)被连接到总线136。除监视器172以外，个人计算机通常包括可以通过输出外围接口175而被连接的其他外围输出设备(未示出)  (例如，扬声器和打印机)。
计算机130可以在使用与一台或多台远程计算机(例如，远程计算机182)的逻辑连接的联网环境中进行操作。远程计算机182可以包括与计算机130有关的这里所描述的许多或所有元件和特点。
图1中所示的逻辑连接是局域网(LAN)177和一般的广域网(WAN)179。这类联网环境在办公室、企业范围的计算机网络、内联网和互联网中很普遍。
当被用于LAN联网环境中时，计算机130经由网络接口或适配器186而被连接到LAN177。当被用于WAN联网环境中时，该计算机通常包括用于在WAN179上建立通信的一个调制解调器178或其他装置。调制解调器178(可能是内置的，也可能是外置的)可以经由用户输入接口170或其他合适的机制而被连接到系统总线136。
图1中描绘了经由互联网的WAN的一项特殊的实施。这里，计算机130使用调制解调器178，以便经由互联网180来建立与至少一台远程计算机182的通信。
在联网环境中，与计算机130或其各个部分有关的所描绘的程序模块可以被存储在一个远程内存存储设备中。这样，例如，如图1中所描绘的，远程应用程序189可以驻留在远程计算机182的一个存储设备上。将会理解，所表现和描述的网络连接起示范的作用，可以使用在各台计算机之间建立一个通信链接的其他装置。
示范的S4U2代理技术和S4U2自我授权技术的概述
现在，该描述将简要地把焦点放在用于控制客户服务器网络环境中的身份认证证书的授权范围的某些技术。在这个例子中，描述一种基于Kerberos的系统。这些S4U2代理技术和S4U2自我技术以及随后描述的授权技术可以或可以不在相同的系统中加以执行，并且，也可以在其他基于证书的身份认证系统中加以执行。
如上所述，如果具有客户的票许可票(TGT)和有关的文电鉴别码，则允许持票者代表客户向被委托的第三方(例如，密钥分配中心(KDC))请求票。这种未被限制的授权当前在具有被发送票授权方案的某些Kerberos实施中得到支持。
第09/886,146号美国专利申请记住这一点，描述了限制或更好地控制授权程序的一些方法和系统。授权程序可以通过用户服务代理(S4U2代理)技术来加以控制，该技术允许服务器或服务(例如，前端服务器/服务)代表客户请求用于其他服务器/服务的服务票。S4U2代理协议以一种可控制的方式有利地提供了被限制的授权，该方式不要求客户将TGT发送到前端服务器。另一项技术是允许服务器向自己请求服务票的用户服务自我(S4U2自我)协议，但在所产生的服务票中提供了客户的身份。例如，这样，已由其他身份认证协议进行身份认证的客户可以接收可被用于S4U2代理协议以便提供被限制的授权的服务票。对于S4U2自我技术而言，有两种示范形式——即“无证据”形式和“证据”形式。在无证据形式中，例如，通过使用对服务器保密的另一种安全/身份认证机制，委托服务器来身份认证客户。在证据形式中，KDC(或被委托的第三方)根据为服务器提供的、身份认证客户时所获得的有关客户的信息(证据)来执行身份认证。
所以，不管客户是否已由Kerberos或某个其他的身份认证协议进行身份认证，该客户都可以在Kerberos环境内访问服务器/服务。结果，可以在基本上只有Kerberos的环境中操作后端和/或其他服务器/服务。
现在参考图2中的方框图，它描绘了客户服务器环境200内的一个S4U2代理协议/程序。如图所示，客户202被有效地耦合到具有身份认证服务206(例如，KDC、证书许可权限、域控制器和/或类似物)的一个被委托的第三方204。身份认证服务206被配置成访问数据库208中所保存的信息。客户202和被委托的第三方204被进一步有效地耦合到一个服务器(即服务器A210)。注意，如这里所使用的，可混杂使用条款服务器和服务，来表示相同或类似的功能性。
在这个例子中，服务器A210是多个其他的服务器的前端服务器。这样，如所描绘的，服务器A210被有效地耦合到服务器B212和服务器C214。如所展示的，服务器B212可能是一项被复制的服务。此外，服务器C214被进一步有效地耦合到服务器D216。
响应于用户在客户202处的登录，身份认证请求(AS_REQ)消息220被发送到身份认证服务206，这与身份认证答复(AS_REP)消息222响应。在AS_REP消息222内是一个与用户/客户有关的TGT。遵循相同或类似的程序(未示出)，以身份认证服务器A210。
当客户202想要访问服务器A210时，客户202将一个票许可服务请求(TGS_REQ)消息224发送到身份认证服务206，身份认证服务206返回一个票许可服务答复(TGS_REP)消息226。TGS_REP消息226包括跟客户202和服务器A210有关的一张服务票。随后，在应用协议请求(AP_REQ)消息228中，为了启动通信通话，客户202将服务票发送到服务器A210。这类过程/程序众所周知，因此，这里不作更加详细的揭示。
在某些系统中，为了支持授权，客户将需要为服务器A210提供客户的TGT，以允许服务器A210代表客户202请求额外的服务票。对于S4U2代理协议而言，这并不是必要的。反而，当服务器A210需要代表客户202访问另一个服务器(例如，服务器C214)时，服务器A210和身份认证服务206根据S4U2代理协议来进行操作。
服务器A 210将TGS_REQ消息230发送到身份认证服务206。TGS_REQ消息230包括服务器A210的TGT和从客户202那里接收的服务票，并识别客户202正在寻求访问的所需或目标服务器/服务(例如，服务器C214)。例如，在Kerberos中，有一个被定义的可扩展数据领域，它通常被称作“额外票”领域。这个额外票领域可以被用于S4U2代理协议中，以传送从客户202那里接收的服务票；KDC选项领域可以包括一个标志或其他指示符，该标志或其他指示符指示接收KDC顺道访问将被用于提供客户身份的票的额外票领域。精通该技术领域的人将会认识到，这些或其他的领域和/或数据结构可以被用来将必要的信息传送到身份认证服务206。
在处理TGS_REQ230中，身份认证服务206(例如)根据客户202所建立的一个“可发送标志”的值来确定客户202是否已批准授权。这样，通过在客户的服务票中存在可发送标志，可以实施每个客户的授权。如果客户202不想参与授权，那么，不将票标记为“可发送”。身份认证服务206将会尊重这个标志，作为一项客户发动的限制。身份认证服务206可以访问数据库208中的额外信息，该数据库定义了允许服务器A210授权(或不授权)给客户202的所选择的服务。
如果身份认证服务206确定允许服务器A210授权给目标服务器/服务，那么，将TGS_REP消息232发送到服务器A210。TGS_REP消息232包括关于目标服务器/服务的一张服务票。这张服务票看起来好象是客户202(例如)使用该客户的TGT直接从身份认证服务206请求得到的。但是，事实并非如此。反而，在满意被身份认证的客户实质上根据曾身份认证从客户202那里接收的并被包括在TGS_REQ消息230中的服务器A210的服务票而参与该请求之后，身份认证服务206对数据库208中的类似/必要的客户信息进行访问。但是，由于客户信息被携带在客户的票中，因此，服务器只需要从该票复制数据。
在某些实施中，TGS_REP消息232识别目标服务器/服务和客户202，并且还包括采取特权属性证书(PAC)、安全标识符、Unix ID、“护照”ID、证书等形式的特殊化实施身份/用户/客户帐户数据等。例如，PAC可以由身份认证服务206建立，或者只是从TGS_REQ消息230中曾经所包括的客户的服务票复制而成。将在以下所示的示范授权上下文建立方案中进一步描述“护照”ID的使用。
PAC或其他用户/客户帐户数据也可以被配置成包括与授权范围有关的信息。这样，例如，图4是说明性图表，描绘了具有一个标题402和一个PAC404的Kerberos消息400的各个所选择的部分。这里，PAC404包括授权信息406。如图所示，授权信息406包括复合身份信息408和访问限制信息410。
例如，复合身份信息408可以包括有关授权程序的记录信息(例如，有关一个事实的指示，该事实是：服务器A210曾代表用户/客户202请求服务票)。这里，可以提供多个这样的记录信息，可以使用这些记录信息将有关多个授权程序的历史连串起来或对该历史进行识别。对于审查目的和/或访问控制目的而言，这类信息可能会很有用。
例如，如果客户202已直接或间接地通过服务器A210来寻求访问服务器/服务，则可以结合访问控制机制来使用访问限制信息410，以便有选择地允许对某些服务器/服务进行访问；如果正通过服务器B212来间接地寻求服务器/服务，则不能这样做。这个特点增加了对身份认证证书的授权的额外的控制。
在以上例子中，客户202曾由身份认证服务206进行身份认证。但是，可以认识到，可能不会对其他客户进行这样的身份认证。图3A中描绘了这种情况的一个例子。这里，已使用一种不同的身份认证协议机制303对客户302进行身份认证。例如，身份认证协议机制303可以包括“护照”、加密套接字协议层(SSL)、NTLM、“摘要”或其他类似的身份认证协议/程序。这里，在这个例子中，假设：客户302选择访问一项目标服务，该目标服务碰巧是由服务器C214提供的。使用以上所描述的S4U2代理协议可以满足这项选择，但仅仅在服务器A210已完成/遵循一个S4U2自我协议/程序之后才如此。
具有S4U2自我协议的一个基本前提是：服务器(例如，服务器A210)能够为正在访问服务器并且服务器已身份认证的任何用户/客户而自我请求服务票。这里所描述的示范S4U2自我协议被配置成支持具有身份认证“证据”的客户和没有这种身份认证证据的客户。
在缺少可以由身份认证服务206进行评估的身份认证证据的情况下，服务器A210将会需要“委托”客户302。这样，例如，如果客户302具有服务器A210能够使其生效的身份认证证书或类似的机制304，那么，可以确定：客户302被“委托”。因此，服务器A210实质上是身份认证客户302。
接下来，服务器A210将一个TGS REQ消息306发送到身份认证服务206，身份认证服务206为客户302自我请求服务票。作为响应，身份认证服务206建立包括所请求的服务票的一个TGS REP消息308。然后，在随后的S4U2代理协议/程序中使用所接收的服务票，以便为客户302向服务器C214请求服务票。例如，在某些Kerberos实施中，这要求在TGS_REP消息308中设置一个可发送标志，以便允许发送该服务票。被委托的第三方也可以为客户302建立一个PAC，然后可以将其包括在所产生的服务票中。
如果不存在有关客户302’的身份认证证据，那么，服务器A210可以在TGS_REQ消息312中包括这种证据，作为额外的预先身份认证数据。图3B中的环境300’中用说明性方法描绘了这一点。这里，客户302’将证据信息310提供给服务器A210。例如，证据信息310可以包括一个挑战/响应对话或由另一个“被委托”的实体建立的其他信息。一接收到证据信息310和随后的确认，身份认证服务206就将会同意向服务器A210自己请求服务票。注意，在某些实施中，通过使用证据，服务器可能可以为客户获得一个受限制的TGT。
在某些Kerberos实施中，TGS_REP消息314中的可发送标志将被设置为允许发送服务票。如果TGS_REQ消息312中曾提供一个PAC，那么，它可以被用在服务票中；否则，身份认证服务206(这里是一个KDC)可能会根据证据信息310来建立一个PAC。例如，在S4U2自我中，客户的身份被包括在预先身份认证数据中。可以为那个客户在PAC的构建中使用这个身份，并将其加入(为该客户)被发给服务器的服务票。
示范的授权上下文建立技术
现在，将把描述的焦点放在根据本发明的某些实施的示范方法和系统上。可以使用或不使用S4U2代理协议和/或S4U2自我协议来执行这些方法和系统。可以使用或不使用Kerberos来执行这些方法和系统。可以使用或不使用“护照”服务(由位于华盛顿的雷德蒙的微软公司提供)来执行这些方法和系统。精通该技术领域的人将会认识到，可以使用各种其他的协议和/或服务来执行这些技术。然而，在这些例子中，将假设：如果需要的话，可以利用这些协议和服务来支持授权上下文建立技术。
现在参考图5，它是说明性方框图，描绘了与客户-服务器网络布置500有关的某些特点/功能/程序，客户-服务器网络布置500能够为用户提供一个授权上下文，否则，这些用户将无权访问某些资源。
如图所示，服务器X502被有效地耦合到服务器Y504、与用户#1(U1)有关的第一位客户506，以及与用户#2(U2)有关的第二位客户508。在这个例子中，如虚线方框510、512和514所表示的，这些设备之间有几种委托关系。这样，例如，当U1登录到客户506和服务器X502以便访问由服务器X502提供的一个资源(例如，对象516)时，客户506和服务器X502被配置成建立委托关系510。这个登录程序可以包括身份认证和访问控制。同样，当U2登录到客户504和服务器Y502时，客户504和服务器Y508被配置成建立委托关系512。此外，在这个例子中，服务器X502和服务器Y504能够经由被委托的第三方204而建立委托关系514。但是，注意，这时，客户508与服务器X502之间没有委托关系。
现在将使用图5和(稍后)图6来描述一个程序，以展示本发明的某些方面，这些方面允许客户508拥有具有服务器X502的一个授权上下文，它允许U2访问对象516。一个小圆圈内的连续的数字标识符旁边的箭头说明性地表示各个程序动作。在其他实施中，其中的一些动作可能会按不同的顺序发生。
如上所述，动作#0是创建委托关系510、512和514。可以按需要为某些操作有选择地创建这类委托关系。
在这个例子中，假设：U1想要允许U2访问对象516。U1通过委托关系510而被授权访问对象516，而这时，U2没有被授权访问对象516。而且，还需要避免将U2作为另一位被授权的用户加入服务器X502的访问控制系统。例如，当U1想要允许U2访问U1的在线规划日程表(被主办，或通过U1的雇主而被提供)时，会发生这种情况。这里，雇主不想将一个新的、被授权的用户帐户加入其系统。
参考图6，它是方框图600，表现了与通过客户506而被提供给U1的一个图形用户接口(GUI)有关的某些典型的特点。在这个例子中，在登录到服务器X502之后，为U1显示网页602或类似的屏幕。在网页602内，对象516呈现了显示有关U1的信息的一个日程表GUI604。U1能够打开一张报名表606，该报名表包括一个标识符输入领域608和(任选)一个或多个可选择的许可设置610。在这里，U1将启动最终将会允许U2访问对象516的程序。
U1为U2输入一个标识符。在这个例子中，该标识符包括关于U2的唯一的“万维网”电子邮件地址(即， user2@hotmail.com)。这里所输入的标识符是关于微软公司所提供的hotmail.com服务的一位注册用户的。作为hotmail.com的一位注册用户，假定U2也具有一个与微软公司相对应的“护照”帐户。U1也可以为U2就同意访问对象516(在这里，例如一个在线规划日程表应用程序)方面定义一个或多个许可设置610。当前，U1已为U2设置了允许阅读的许可，现在返回到图5，这个用户识别程序由客户506与服务器X502之间的动作#1表示。
服务器X502发现U1已为U2提供一个hotmail.com标识符，并在动作#2中与服务器Y504进行通信，在这种情况下，它被假定为一种众所周知的“护照”服务器。这里，服务器X502将标识符user2@hotmail.com提供给服务器Y504，并要求服务器Y504提供一个对应的普遍唯一的“护照”用户身份(PUID)(也经常被称作“对方式的唯一ID”)。在动作#3中，服务器Y504返回U2的PUID(524)。如果委托关系514是一种基于Kerberos的关系，那么，可以在(例如)如前所述的一个PAC中返回PUID。
现在，服务器X502具有U2的PUID。在动作#4中，服务器X502将该PUID翻译成适用于服务器X502的本地身份认证系统的一个对应的SID522。如所展示的，对象516与ACL518有关，具有包括SID522的至少一个ACE520。
64位PUID实际上包括一个16位“护照”域权限标识符和一个48位成员标识符。为了建立SID，需要将域权限保存为一个分开的值。要实现这一点，可以将MemberIDHigh分成两个部分并将这两个部分建立为分开的子权限，例如，如下所示：
S-1-10-21-(HIWORD(MemberIDHigh))-(LOWORD(MemberIDHigh))-MemberIDLow-O
在这个例子中，“S-1-10-21”是由ntseapi.h定义的一个新的标识符权限。在这项示范实施中，ntseapi.h是被用于建立微软视窗操作系统的一个标题文件，该操作系统包含被用来构建PUID-SID的这个SID值的定义。注意，这个标题通常将不会直接暴露给开发者。但是，在winnt.h中的平台SDK中公开发表了ntseapi.h中的声明。
这样，利用PUID或从一个“被委托”的来源返回的其他类似的标识符而创建的一个示范SID实质上识别采用一种唯一的组合以及与本地授权系统相兼容的一种格式的众所周知的子权限和成员用户。
在动作#5中，U2登录(被进行身份认证)到服务器Y504，并在此过程中接收PUID524。在动作#6中，U2使用一个默认的(例如，未知.的或匿名的)用户帐户来与服务器X502连接，并提供在请求或其他类似消息中包括PUID524的信息(例如，在PAC中)。在动作#7中，服务器X504发现这个默认用户(U2)已提供一个PUID，并且，作为响应，建立了一个对应的SID532，SID532随后被放在与正在寻求访问对象516的默认用户(U2)有关的标记530中。在某些实施中，通过将PUID传送给被称作“LsaLogonUser”的一个应用编程接口(API)，来建立SID。这个API返回该SID。
在动作#8中，通过将默认用户的标记530中的一个或多个SID与ACL518中的一个或多个SID进行比较，服务器X502确定这位默认用户(U2)是否具有可以访问对象516的合适的访问许可。这里，来自标记530的SID532将与ACE520中的SID522相匹配。结果，在动作#9中，为U2创建身份认证上下文526，它根据可应用的许可设置来允许U2访问对象516。因此，例如，U2可以观看(阅读)U1的规划日程表，并可以确定U1和U2下周是否能够共享午餐。U2没有登录到服务器X502；由于U2不象U1那样拥有帐户，因此，U2的确无法登录到服务器X502。在这种情况下，U2的身份认证实质上建立在委托关系510、512和514的基础上，U2的初始身份认证使用客户508和服务器Y504。同意U2对服务器X502的访问控制实质上基于U1的被委托授权(在动作#0中，通过客户506和服务器X502)以及在动作#3中的提供PUID524的过程中与服务器Y504的委托关系。
使用PUID的好处之一是：在“护照”的PUIDs的受控分配的基础上，所产生的SID将在全球保持唯一和坚持。
总结
虽然已在附图展示并在详细的前文中描述了本发明的各种方法和系统的一些较佳实施，但是，将会理解，本发明不局限于所揭示的示范实施例，而在不脱离如以下权利要求书所陈述和定义的本发明的精神的前提下，可以进行许多调整、修改和替换。

Claims (62)

1.一种用于提供对至少一个计算资源的访问控制的方法，其特征在于，包括：接收与将被提供访问所述至少一个计算资源的用户有关的一个唯一的标识符，所述唯一的标识符与已身份认证用户的另一个计算资源有关；
将所述唯一的标识符翻译成一个安全标识符(SID)；以及，确定所述SID是否与由与所述至少一个计算资源有关的访问控制机制提供的至少另一个SID相匹配。
2.如权利要求1中所述的方法，其特征在于，所述唯一的标识符包括一个对方式的唯一标识符(PUID)。
3.如权利要求2中所述的方法，其特征在于，所述PUID与一项“护照”服务有关。
4.如权利要求3中所述的方法，其特征在于，将所述唯一的标识符翻译成所
述SID还包括：
将所述PUID分成至少一个子权限标识符部分和至少一个成员标识符部分。
5.如权利要求3中所述的方法，其特征在于，将所述唯一的标识符翻译成所
述SID还包括：
将所述PUID提供给一个应用编程接口(API)；以及，
作为答复，从所述API接收所述SID。
6.如权利要求1中所述的方法，其特征在于，接收所述唯一的标识符还包括：接收一个基于Kerberos的消息内的所述唯一的标识符。
7.如权利要求6中所述的方法，其特征在于，在所述基于Kerberos的消息内的一个PAC中提供所述唯一的标识符。
8.如权利要求6中所述的方法，其特征在于，所述基于Kerberos的消息与S4U2自我过程有关。
9.如权利要求6中所述的方法，其特征在于，所述基于Kerberos的消息与S4U2代理过程有关。
10.如权利要求1中所述的方法，其特征在于，确定所述SID是否与由所
述访问控制机制提供的所述至少另一个SID相匹配还包括：
将所述SID与一个访问控制清单(ACL)内的所述至少另一个SID进行比较，该访问控制清单与所述至少一个计算资源有关。
11.如权利要求1中所述的方法，其特征在于，接收与将要被提供访问所述至少一个计算资源的用户有关的所述唯一的标识符还包括：为将要被提供访问所述至少一个计算资源的用户提供一个默认帐户。
12.一种用于建立有关至少一个计算资源的访问控制许可的方法，其特征在于，包括：
接收至少一位用户的至少一个电子邮件(e-mail)地址，该用户将被同意至少有限地访问所述至少一个计算资源；
将所述电子邮件地址提供给至少一项被委托服务，该被委托服务能够根据所述电子邮件地址来输出与所述用户有关的一个唯一的标识符；
接收由所述被委托服务输出的所述唯一的标识符；以及，
根据所述唯一的标识符来设置与所述至少一个计算资源有关的至少一个用户访问控制许可。
13.如权利要求12中所述的方法，其特征在于，设置所述至少一个用户访问控制许可还包括：
将所述唯一的标识符翻译成一个安全标识符(SID)；以及，
将所述SID与所述至少一个计算资源的至少一个访问控制清单(ACL)关联。
14.如权利要求12中所述的方法，其特征在于，所述唯一的标识符包括一个对方式的唯一标识符(PUID)。
15.如权利要求14中所述的方法，其特征在于，所述PUID与一项“护照”服务有关。
16.如权利要求13中所述的方法，其特征在于，所述唯一的标识符包括一个PUID，将所述唯一的标识符翻译成所述SID还包括：
将所述PUID分成至少一个子权限标识符部分和至少一个成员标识符部分。
17.如权利要求14中所述的方法，其特征在于，所述唯一的标识符包括一个PUID，将所述唯一的标识符翻译成所述SID还包括：
将所述PUID提供给一个应用编程接口(API)；以及，随后从所述API收回所述SID。
18.如权利要求12中所述的方法，其特征在于，接收所述唯一的标识符还包括：
接收一个基于Kerberos的消息内的所述唯一的标识符。
19.如权利要求18中所述的方法，其特征在于，所述基于Kerberos的消息内的一个PAC中提供所述唯一的标识符。
20.一种具有用于执行动作的计算机可执行指令的计算机可读介质，其特征在于，这些动作包括：
接受与将要被提供对所述至少一个计算资源进行受控访问的用户有关的一个唯一的标识符，所述唯一的标识符与已身份认证该用户的另一个计算资源有关；
将所述唯一的标识符转换为一个安全标识符(SID)；以及，
验证所述SID是否与由一个访问控制机制提供的至少另一个SID相匹配，该访问控制机制与所述至少一个计算资源有关。
21.如权利要求20中所述的计算机可读介质，其特征在于，所述唯一的标识符包括一个对方式的唯一标识符(PUID)。
22.如权利要求21中所述的计算机可读介质，其特征在于，所述PUID与一项“护照”服务有关。
23.如权利要求22中所述的计算机可读介质，其特征在于，将所述唯一的标识符转换为所述SID还包括：
将所述PUID再分为至少一个子权限标识符部分和至少一个成员标识符部分。
24.如权利要求22中所述的计算机可读介质，其特征在于，将所述唯一的标识符翻译成所述SID还包括：
将所述PUID输出给一个应用编程接口(API)；以及，
作为答复，从所述API接收所述SID。
25.如权利要求20中所述的计算机可读介质，其特征在于，接收所述唯一的标识符还包括：接收一个基于Kerberos的消息内的所述唯一的标识符。
26.如权利要求25中所述的计算机可读介质，其特征在于，在所述基于Kerberos的消息内的一个PAC中提供所述唯一的标识符。
27.如权利要求25中所述的计算机可读介质，其特征在于，所述基于Kerberos的消息与S4U2自我过程有关。
28.如权利要求25中所述的计算机可读介质，其特征在于，所述基于Kerberos的消息与S4U2代理过程有关。
29.如权利要求20中所述的计算机可读介质，其特征在于，验证所述SID是否与由所述访问控制机制提供的所述至少另一个SID相匹配还包括：
将所述SID与一个访问控制清单(ACL)内的所述至少另一个SID进行比较，该访问控制清单与所述至少一个计算资源有关。
30.如权利要求20中所述的计算机可读介质，其特征在于，接受与将要被提供对所述至少一个计算资源进行受控访问的用户有关的所述唯一的标识符还包括：为将要被提供访问所述至少一个计算资源的用户提供一个默认帐户。
31.一种具有用于执行动作的计算机可执行指令的计算机可读介质，其特
征在于，这些动作包括：
接受至少一位用户的至少一个电子邮件(e-mail)地址，该用户将被同意至少有限地访问所述至少一个计算资源；
将所述电子邮件地址输出给至少一项被委托服务，该被委托服务能够根据所述电子邮件地址来输出与所述用户有关的一个对应的唯一标识符；
接收由所述被委托服务输出的所述唯一的标识符；以及，
根据所述唯一的标识符来建立与所述至少一个计算资源有关的至少一个用户访问控制许可。
32.如权利要求31中所述的计算机可读介质，其特征在于，根据所述唯一的标识符来为用户设置所述至少一个用户访问控制许可还包括：
将所述唯一的标识符转换为一个安全标识符(SID)；以及，
将所述SID分配给所述计算资源的至少一个访问控制清单(ACL)。
33.如权利要求31中所述的计算机可读介质，其特征在于，所述唯一的标识符包括一个对方式的唯一标识符(PUID)。
34.如权利要求33中所述的计算机可读介质，其特征在于，所述PUID与一项“护照”服务有关。
35.如权利要求34中所述的计算机可读介质，其特征在于，所述唯一的标识符包括一个PUID，将所述唯一的标识符翻译成所述SID还包括：
将所述PUID再分为至少一个子权限标识符部分和至少一个成员标识符部分。
36.如权利要求34中所述的计算机可读介质，其特征在于，所述唯一的标识符包括一个PUID，将所述唯一的标识符翻译成所述SID还包括：
将所述“护照”唯一标识符提供给一个应用编程接口(API)；以及，随后从所述API接收所述SID。
37.如权利要求31中所述的计算机可读介质，其特征在于，接收所述唯一的标识符还包括：接收一个基于Kerberos的消息内的所述唯一的标识符。
38.如权利要求37中所述的计算机可读介质，其特征在于，所述基于Kerberos的消息内的一个PAC中提供所述唯一的标识符。
39.一种用于将一个对方式的唯一标识符(PUID)翻译成一个对应的安全标识符(SID)的方法，其特征在于，该方法包括：
接收所述PUID；
将所述PUID再分为至少一个子权限标识符部分和至少一个成员标识符部分；以及，
将所述至少一个子权限标识符部分和所述至少一个成员标识符部分安排为所述SID。
40.如权利要求39中所述的方法，其特征在于，将所述至少一个子权限标识符部分和所述至少一个成员标识符部分安排为所述SID还包括：安排所述SID具有所述子权限标识符、一个HIWORD(MemberIDHigh)、一个LOWORD(MemberIDHish)和一个MemberIDLow。
41.如权利要求39中所述的方法，其特征在于：还包括输出所述SID。
42.一种具有用于执行动作的计算机可执行指令的计算机的可读介质，其特征在于，这些动作包括：
接收一个对方式的唯一标识符(PUID)；以及，
通过将所述PUID再分为至少一个子权限标识符部分和至少一个成员标识符部分，来将所述PUID翻译成一个对应的安全标识符(SID)，并且，将所述至少一个子权限标识符部分和所述至少一个成员标识符部分安排为所述SID。
43.如权利要求42中所述的计算机可读介质，其特征在于，将所述至少一个子权限标识符部分和所述至少一个成员标识符部分安排为所述SID还包括：安排所述SID具有所述子权限标识符、一个HIWORD(MemberIDHigh)、一个LOWORD(MemberIDHigh)和一个MemberIDLow。
44.如权利要求42中所述的计算机可读介质，其特征在于：还包括输出所述SID。
45.一种用于控制对至少一个计算资源的访问的系统，其特征在于，该系统包括：
存储器；以及，
被有效地耦合到所述存储器的逻辑，它可以被配置成接收与将要被提供对所述至少一个计算资源进行受控访问的用户有关的一个唯一的标识符，所述唯一的标识符与已身份认证该用户的另一个计算资源有关，所述逻辑被进一步有效地配置成将所述唯一的标识符翻译成一个安全标识符(SID)，如果所述SID与被存储在所述存储器中并与所述至少一个计算资源有关的至少另一个SID相匹配，则允许所述用户访问所述至少一个计算资源。
46.如权利要求45中所述的系统，其特征在于，所述唯一的标识符包括一个对方式的唯一标识符(PUID)。
47.如权利要求46中所述的系统，其特征在于，所述PUID与一项“护照”服务有关。
48.如权利要求47中所述的系统，其特征在于，所述逻辑被进一步配置成将所述“护照”唯一标识符分成至少一个子权限标识符部分和至少一个成员标识符部分。
49.如权利要求45中所述的系统，其特征在于，所述逻辑可以被配置成接收一个基于Kerberos的消息内的所述唯一的标识符。
50.如权利要求49中所述的系统，其特征在于，所述基于Kerberos的消息内的一个PAC中提供所述唯一的标识符。
51.如权利要求49中所述的系统，其特征在于，所述基于Kerberos的消息与S4U2自我过程有关。
52.如权利要求50中所述的系统，其特征在于，所述基于Kerberos的消息与S4U2代理过程有关。
53.如权利要求45中所述的系统，其特征在于，被存储在所述存储器中的所述至少另一个SID是与所述至少一个计算资源有关的访问控制清单(ACL)的一部分。
54.如权利要求45中所述的系统，其特征在于，所述逻辑可进一步被配置成将匿名帐户性能提供给将要被提供对所述至少一个计算资源的访问控制的用户。
55.一种用于为至少一个计算资源设置访问控制许可的系统，其特征在于，该系统包括：
一个通信网络；
被有效地耦合到所述网络的第一个设备，它可以被配置成：接受至少一位用户的至少一个电子邮件(e-mail)地址，该用户将被同意至少对所述至少一个计算资源进行有限的访问，将所述电子邮件地址提供给所述网络，随后在所述网络上接收与所述电子邮件地址有关的一个对应的唯一标识符，并且，根据所述被接收的唯一的标识符来为用户设置与所述至少一个计算资源有关的至少一个访问控制许可。
56.如权利要求55中所述的系统，其特征在于，还包括：
被有效地耦合到所述网络的至少另一个设备，它被配置成：提供能够从所述网络接收所述至少一个电子邮件地址的至少一项可信的服务，将所述电子邮件地址转换为所述唯一的标识符，并将所述唯一的标识符输出到所述网络。
57.如权利要求56中所述的系统，其特征在于，所述第一个设备被进一步配置成：将所述唯一的标识符翻译成一个安全标识符(SID)，并将所述SID与所述至少一个计算资源的至少一个访问控制清单(ACL)关联。
58.如权利要求57中所述的系统，其特征在于，所述唯一的标识符包括一个对方式的唯一标识符(PUID)。
59.如权利要求58中所述的系统，其特征在于，所述PUID是一个“护照”唯一标识符。
60.如权利要求59中所述的系统，其特征在于，所述第一个设备被进一步配置成：在到一个对应的SID的翻译期间，将所述“护照”唯一标识符分成至少一个子权限标识符部分和至少一个成员标识符部分。
61.如权利要求55中所述的系统，其特征在于，所述第一个设备被配置成接收一个基于Kerberos的消息内的所述唯一的标识符。
62.如权利要求61中所述的系统，其特征在于，在所述基于Kerberos的消息内的一个PAC中提供所述唯一的标识符。
CNB031234968A 2002-05-10 2003-05-09 用于对计算机资源进行访问控制的方法和系统 Expired - Fee Related CN100367249C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US10/144,059 2002-05-10
US10/144,059 US7401235B2 (en) 2002-05-10 2002-05-10 Persistent authorization context based on external authentication

Publications (2)

Publication Number Publication Date
CN1456983A true CN1456983A (zh) 2003-11-19
CN100367249C CN100367249C (zh) 2008-02-06

Family

ID=22506868

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB031234968A Expired - Fee Related CN100367249C (zh) 2002-05-10 2003-05-09 用于对计算机资源进行访问控制的方法和系统

Country Status (18)

Country Link
US (1) US7401235B2 (zh)
EP (2) EP1939707B1 (zh)
JP (1) JP4756817B2 (zh)
KR (1) KR100986568B1 (zh)
CN (1) CN100367249C (zh)
AT (2) ATE398799T1 (zh)
AU (1) AU2003203708B2 (zh)
BR (1) BR0301034A (zh)
CA (1) CA2424782A1 (zh)
DE (1) DE60321618D1 (zh)
HK (1) HK1060201A1 (zh)
MX (1) MXPA03003709A (zh)
MY (1) MY145724A (zh)
NO (1) NO20032094L (zh)
PL (1) PL359993A1 (zh)
RU (2) RU2337399C2 (zh)
TW (1) TWI353154B (zh)
ZA (1) ZA200302999B (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8078880B2 (en) 2006-07-28 2011-12-13 Microsoft Corporation Portable personal identity information
US8087072B2 (en) 2007-01-18 2011-12-27 Microsoft Corporation Provisioning of digital identity representations
US8104074B2 (en) 2006-02-24 2012-01-24 Microsoft Corporation Identity providers in digital identity system
US8117459B2 (en) 2006-02-24 2012-02-14 Microsoft Corporation Personal identification information schemas
US8407767B2 (en) 2007-01-18 2013-03-26 Microsoft Corporation Provisioning of digital identity representations
CN103370902A (zh) * 2011-02-09 2013-10-23 三星电子株式会社 用于控制装置之间的连接的方法和设备
US8689296B2 (en) 2007-01-26 2014-04-01 Microsoft Corporation Remote access of digital identities
CN106415572A (zh) * 2014-01-24 2017-02-15 微软技术许可有限责任公司 用于授权连接的设备请求的安全加密处理器

Families Citing this family (239)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AUPQ654400A0 (en) * 2000-03-28 2000-04-20 Optimiser Pty Ltd Authorising use of a computer program
US7698381B2 (en) * 2001-06-20 2010-04-13 Microsoft Corporation Methods and systems for controlling the scope of delegation of authentication credentials
US7382787B1 (en) 2001-07-30 2008-06-03 Cisco Technology, Inc. Packet routing and switching device
JP2003108520A (ja) * 2001-09-28 2003-04-11 Canon Inc 情報提供サーバ、端末装置及びその制御方法並びに情報提供システム
WO2003058877A1 (en) 2001-12-28 2003-07-17 Woodstock Systems, Llc Personal digital servertm (pdstm)
US7523490B2 (en) * 2002-05-15 2009-04-21 Microsoft Corporation Session key security protocol
US7450438B1 (en) 2002-06-20 2008-11-11 Cisco Technology, Inc. Crossbar apparatus for a forwarding table memory in a router
US7525904B1 (en) 2002-06-20 2009-04-28 Cisco Technology, Inc. Redundant packet routing and switching device and method
US7343301B1 (en) 2002-08-30 2008-03-11 Signiant, Inc. Method and apparatus for notification of data transfer
US7152108B1 (en) * 2002-08-30 2006-12-19 Signiant Inc. Data transfer system and method with secure mapping of local system access rights to global identities
US7613812B2 (en) 2002-12-04 2009-11-03 Microsoft Corporation Peer-to-peer identity management interfaces and methods
US7536476B1 (en) * 2002-12-20 2009-05-19 Cisco Technology, Inc. Method for performing tree based ACL lookups
US7496953B2 (en) * 2003-04-29 2009-02-24 International Business Machines Corporation Single sign-on method for web-based applications
US7397922B2 (en) 2003-06-27 2008-07-08 Microsoft Corporation Group security
US7188254B2 (en) * 2003-08-20 2007-03-06 Microsoft Corporation Peer-to-peer authorization method
US7574603B2 (en) 2003-11-14 2009-08-11 Microsoft Corporation Method of negotiating security parameters and authenticating users interconnected to a network
US20050166070A1 (en) * 2003-12-24 2005-07-28 Ling Dynamic Systems Ltd. Web based user interface
US7412516B1 (en) * 2003-12-29 2008-08-12 Aol Llc Using a network bandwidth setting based on determining the network environment
US20050144144A1 (en) * 2003-12-30 2005-06-30 Nokia, Inc. System and method for authenticating a terminal based upon at least one characteristic of the terminal located at a position within an organization
US20050149724A1 (en) * 2003-12-30 2005-07-07 Nokia Inc. System and method for authenticating a terminal based upon a position of the terminal within an organization
US7395319B2 (en) 2003-12-31 2008-07-01 Checkfree Corporation System using contact list to identify network address for accessing electronic commerce application
US7636941B2 (en) 2004-03-10 2009-12-22 Microsoft Corporation Cross-domain authentication
US20050246762A1 (en) * 2004-04-29 2005-11-03 International Business Machines Corporation Changing access permission based on usage of a computer resource
JP2006011768A (ja) * 2004-06-25 2006-01-12 Toshiba Corp 認証システム及び装置
US7526557B2 (en) * 2004-06-30 2009-04-28 Signiant, Inc. System and method for transferring data in high latency firewalled networks
US20060037062A1 (en) * 2004-08-09 2006-02-16 International Business Machines Corporation Method, system and program product for securing resources in a distributed system
US7603700B2 (en) * 2004-08-31 2009-10-13 Aol Llc Authenticating a client using linked authentication credentials
JP4643213B2 (ja) 2004-09-29 2011-03-02 シスメックス株式会社 アプリケーションプログラムの使用制限方法、測定装置のユーザ認証システム、認証サーバ、クライアント装置、及びアプリケーションプログラム
US7996881B1 (en) 2004-11-12 2011-08-09 Aol Inc. Modifying a user account during an authentication process
US7889712B2 (en) 2004-12-23 2011-02-15 Cisco Technology, Inc. Methods and apparatus for providing loop free routing tables
US8490168B1 (en) * 2005-10-12 2013-07-16 At&T Intellectual Property I, L.P. Method for authenticating a user within a multiple website environment to provide secure access
US20070130289A1 (en) * 2005-12-07 2007-06-07 Christopher Defazio Remote access
US7747647B2 (en) * 2005-12-30 2010-06-29 Microsoft Corporation Distributing permission information via a metadirectory
US20070156691A1 (en) * 2006-01-05 2007-07-05 Microsoft Corporation Management of user access to objects
US7639629B2 (en) * 2006-07-28 2009-12-29 Microsoft Corporation Security model for application and trading partner integration
JP5011959B2 (ja) * 2006-11-01 2012-08-29 富士ゼロックス株式会社 認証代行装置、認証代行プログラム、及び認証代行システム
US8012015B2 (en) 2006-11-15 2011-09-06 Cfph, Llc Verifying whether a gaming device is communicating with a gaming server
US7942738B2 (en) * 2006-11-15 2011-05-17 Cfph, Llc Verifying a gaming device is in communications with a gaming server
US7942740B2 (en) 2006-11-15 2011-05-17 Cfph, Llc Verifying a first device is in communications with a server by storing a value from the first device and accessing the value from a second device
US7942739B2 (en) 2006-11-15 2011-05-17 Cfph, Llc Storing information from a verification device and accessing the information from a gaming device to verify that the gaming device is communicating with a server
US10068421B2 (en) * 2006-11-16 2018-09-04 Cfph, Llc Using a first device to verify whether a second device is communicating with a server
US7942742B2 (en) 2006-11-15 2011-05-17 Cfph, Llc Accessing identification information to verify a gaming device is in communications with a server
US7942741B2 (en) 2006-11-15 2011-05-17 Cfph, Llc Verifying whether a device is communicating with a server
US8650615B2 (en) * 2007-09-28 2014-02-11 Emc Corporation Cross domain delegation by a storage virtualization system
US8635664B2 (en) * 2007-12-28 2014-01-21 Intel Corporation Method and system for securing application program interfaces in unified extensible firmware interface
US8001582B2 (en) 2008-01-18 2011-08-16 Microsoft Corporation Cross-network reputation for online services
US7925516B2 (en) * 2008-03-14 2011-04-12 Microsoft Corporation Leveraging global reputation to increase personalization
US20100077208A1 (en) * 2008-09-19 2010-03-25 Microsoft Corporation Certificate based authentication for online services
CN102282565B (zh) * 2009-01-19 2016-08-03 皇家飞利浦电子股份有限公司 用于隐私保护的具有双脚本引擎的浏览器
US9390172B2 (en) * 2009-12-03 2016-07-12 Microsoft Technology Licensing, Llc Communication channel between web application and process outside browser
US8613059B2 (en) * 2009-12-18 2013-12-17 At&T Intellectual Property I, L.P. Methods, systems and computer program products for secure access to information
US9088580B2 (en) * 2009-12-31 2015-07-21 Microsoft Technology Licensing, Llc Access control based on user and service
US8924715B2 (en) * 2010-10-28 2014-12-30 Stephan V. Schell Methods and apparatus for storage and execution of access control clients
AU2010246354B1 (en) * 2010-11-22 2011-11-03 Microsoft Technology Licensing, Llc Back-end constrained delegation model
US9118686B2 (en) 2011-09-06 2015-08-25 Microsoft Technology Licensing, Llc Per process networking capabilities
US9773102B2 (en) 2011-09-09 2017-09-26 Microsoft Technology Licensing, Llc Selective file access for applications
US8990561B2 (en) 2011-09-09 2015-03-24 Microsoft Technology Licensing, Llc Pervasive package identifiers
US9800688B2 (en) 2011-09-12 2017-10-24 Microsoft Technology Licensing, Llc Platform-enabled proximity service
US8930475B1 (en) 2012-03-30 2015-01-06 Signiant Inc. Systems and methods for secure cloud-based media file sharing
US9317670B2 (en) * 2012-05-22 2016-04-19 Verizon Patent And Licensing Inc Security based on usage activity associated with user device
CN103532919B (zh) * 2012-07-06 2018-06-12 腾讯科技（深圳）有限公司 用户账户保持登录态的方法及系统
US9692799B2 (en) 2012-07-30 2017-06-27 Signiant Inc. System and method for sending and/or receiving digital content based on a delivery specification
US10356204B2 (en) 2012-12-13 2019-07-16 Microsoft Technology Licensing, Llc Application based hardware identifiers
US9858247B2 (en) 2013-05-20 2018-01-02 Microsoft Technology Licensing, Llc Runtime resolution of content references
US9319419B2 (en) * 2013-09-26 2016-04-19 Wave Systems Corp. Device identification scoring
US10073978B2 (en) 2014-04-16 2018-09-11 International Business Machines Corporation Efficient modification and creation of authorization settings for user accounts
US10181051B2 (en) 2016-06-10 2019-01-15 OneTrust, LLC Data processing systems for generating and populating a data inventory for processing data access requests
US9729583B1 (en) 2016-06-10 2017-08-08 OneTrust, LLC Data processing systems and methods for performing privacy assessments and monitoring of new versions of computer code for privacy compliance
US9736165B2 (en) * 2015-05-29 2017-08-15 At&T Intellectual Property I, L.P. Centralized authentication for granting access to online services
US9948662B2 (en) * 2015-07-31 2018-04-17 Fortinet, Inc. Providing security in a communication network
US9509684B1 (en) * 2015-10-14 2016-11-29 FullArmor Corporation System and method for resource access with identity impersonation
US9762563B2 (en) 2015-10-14 2017-09-12 FullArmor Corporation Resource access system and method
US9450944B1 (en) 2015-10-14 2016-09-20 FullArmor Corporation System and method for pass-through authentication
US10706447B2 (en) 2016-04-01 2020-07-07 OneTrust, LLC Data processing systems and communication systems and methods for the efficient generation of privacy risk assessments
US20220164840A1 (en) 2016-04-01 2022-05-26 OneTrust, LLC Data processing systems and methods for integrating privacy information management systems with data loss prevention tools or other tools for privacy design
US10423996B2 (en) 2016-04-01 2019-09-24 OneTrust, LLC Data processing systems and communication systems and methods for the efficient generation of privacy risk assessments
US11244367B2 (en) 2016-04-01 2022-02-08 OneTrust, LLC Data processing systems and methods for integrating privacy information management systems with data loss prevention tools or other tools for privacy design
US11004125B2 (en) 2016-04-01 2021-05-11 OneTrust, LLC Data processing systems and methods for integrating privacy information management systems with data loss prevention tools or other tools for privacy design
US10614247B2 (en) 2016-06-10 2020-04-07 OneTrust, LLC Data processing systems for automated classification of personal information from documents and related methods
US10949565B2 (en) 2016-06-10 2021-03-16 OneTrust, LLC Data processing systems for generating and populating a data inventory
US11727141B2 (en) 2016-06-10 2023-08-15 OneTrust, LLC Data processing systems and methods for synching privacy-related user consent across multiple computing devices
US11157600B2 (en) 2016-06-10 2021-10-26 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US10878127B2 (en) 2016-06-10 2020-12-29 OneTrust, LLC Data subject access request processing systems and related methods
US10803200B2 (en) 2016-06-10 2020-10-13 OneTrust, LLC Data processing systems for processing and managing data subject access in a distributed environment
US11336697B2 (en) 2016-06-10 2022-05-17 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US11138242B2 (en) 2016-06-10 2021-10-05 OneTrust, LLC Data processing systems and methods for automatically detecting and documenting privacy-related aspects of computer software
US10586075B2 (en) 2016-06-10 2020-03-10 OneTrust, LLC Data processing systems for orphaned data identification and deletion and related methods
US11343284B2 (en) 2016-06-10 2022-05-24 OneTrust, LLC Data processing systems and methods for performing privacy assessments and monitoring of new versions of computer code for privacy compliance
US10909265B2 (en) 2016-06-10 2021-02-02 OneTrust, LLC Application privacy scanning systems and related methods
US11146566B2 (en) 2016-06-10 2021-10-12 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US10454973B2 (en) 2016-06-10 2019-10-22 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US10438017B2 (en) 2016-06-10 2019-10-08 OneTrust, LLC Data processing systems for processing data subject access requests
US10769301B2 (en) 2016-06-10 2020-09-08 OneTrust, LLC Data processing systems for webform crawling to map processing activities and related methods
US11038925B2 (en) 2016-06-10 2021-06-15 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US10706379B2 (en) 2016-06-10 2020-07-07 OneTrust, LLC Data processing systems for automatic preparation for remediation and related methods
US11100444B2 (en) 2016-06-10 2021-08-24 OneTrust, LLC Data processing systems and methods for providing training in a vendor procurement process
US10776514B2 (en) 2016-06-10 2020-09-15 OneTrust, LLC Data processing systems for the identification and deletion of personal data in computer systems
US10496803B2 (en) 2016-06-10 2019-12-03 OneTrust, LLC Data processing systems and methods for efficiently assessing the risk of privacy campaigns
US11301796B2 (en) 2016-06-10 2022-04-12 OneTrust, LLC Data processing systems and methods for customizing privacy training
US11475136B2 (en) 2016-06-10 2022-10-18 OneTrust, LLC Data processing systems for data transfer risk identification and related methods
US11134086B2 (en) 2016-06-10 2021-09-28 OneTrust, LLC Consent conversion optimization systems and related methods
US10949170B2 (en) 2016-06-10 2021-03-16 OneTrust, LLC Data processing systems for integration of consumer feedback with data subject access requests and related methods
US10607028B2 (en) 2016-06-10 2020-03-31 OneTrust, LLC Data processing systems for data testing to confirm data deletion and related methods
US10776518B2 (en) 2016-06-10 2020-09-15 OneTrust, LLC Consent receipt management systems and related methods
US10997315B2 (en) * 2016-06-10 2021-05-04 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US10909488B2 (en) 2016-06-10 2021-02-02 OneTrust, LLC Data processing systems for assessing readiness for responding to privacy-related incidents
US10706174B2 (en) 2016-06-10 2020-07-07 OneTrust, LLC Data processing systems for prioritizing data subject access requests for fulfillment and related methods
US10740487B2 (en) 2016-06-10 2020-08-11 OneTrust, LLC Data processing systems and methods for populating and maintaining a centralized database of personal data
US10846433B2 (en) 2016-06-10 2020-11-24 OneTrust, LLC Data processing consent management systems and related methods
US10503926B2 (en) 2016-06-10 2019-12-10 OneTrust, LLC Consent receipt management systems and related methods
US10496846B1 (en) 2016-06-10 2019-12-03 OneTrust, LLC Data processing and communications systems and methods for the efficient implementation of privacy by design
US11544667B2 (en) 2016-06-10 2023-01-03 OneTrust, LLC Data processing systems for generating and populating a data inventory
US10944725B2 (en) 2016-06-10 2021-03-09 OneTrust, LLC Data processing systems and methods for using a data model to select a target data asset in a data migration
US10437412B2 (en) 2016-06-10 2019-10-08 OneTrust, LLC Consent receipt management systems and related methods
US11392720B2 (en) 2016-06-10 2022-07-19 OneTrust, LLC Data processing systems for verification of consent and notice processing and related methods
US11636171B2 (en) 2016-06-10 2023-04-25 OneTrust, LLC Data processing user interface monitoring systems and related methods
US10242228B2 (en) 2016-06-10 2019-03-26 OneTrust, LLC Data processing systems for measuring privacy maturity within an organization
US10430740B2 (en) 2016-06-10 2019-10-01 One Trust, LLC Data processing systems for calculating and communicating cost of fulfilling data subject access requests and related methods
US10706176B2 (en) 2016-06-10 2020-07-07 OneTrust, LLC Data-processing consent refresh, re-prompt, and recapture systems and related methods
US11586700B2 (en) 2016-06-10 2023-02-21 OneTrust, LLC Data processing systems and methods for automatically blocking the use of tracking tools
US10592648B2 (en) 2016-06-10 2020-03-17 OneTrust, LLC Consent receipt management systems and related methods
US10510031B2 (en) 2016-06-10 2019-12-17 OneTrust, LLC Data processing systems for identifying, assessing, and remediating data processing risks using data modeling techniques
US11366786B2 (en) 2016-06-10 2022-06-21 OneTrust, LLC Data processing systems for processing data subject access requests
US11138299B2 (en) 2016-06-10 2021-10-05 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US10853501B2 (en) 2016-06-10 2020-12-01 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US11227247B2 (en) 2016-06-10 2022-01-18 OneTrust, LLC Data processing systems and methods for bundled privacy policies
US10592692B2 (en) 2016-06-10 2020-03-17 OneTrust, LLC Data processing systems for central consent repository and related methods
US10798133B2 (en) 2016-06-10 2020-10-06 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US11461500B2 (en) 2016-06-10 2022-10-04 OneTrust, LLC Data processing systems for cookie compliance testing with website scanning and related methods
US11087260B2 (en) 2016-06-10 2021-08-10 OneTrust, LLC Data processing systems and methods for customizing privacy training
US10318761B2 (en) 2016-06-10 2019-06-11 OneTrust, LLC Data processing systems and methods for auditing data request compliance
US11238390B2 (en) 2016-06-10 2022-02-01 OneTrust, LLC Privacy management systems and methods
US11188615B2 (en) 2016-06-10 2021-11-30 OneTrust, LLC Data processing consent capture systems and related methods
US11651106B2 (en) 2016-06-10 2023-05-16 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US10885485B2 (en) 2016-06-10 2021-01-05 OneTrust, LLC Privacy management systems and methods
US11651104B2 (en) 2016-06-10 2023-05-16 OneTrust, LLC Consent receipt management systems and related methods
US10713387B2 (en) 2016-06-10 2020-07-14 OneTrust, LLC Consent conversion optimization systems and related methods
US10353673B2 (en) 2016-06-10 2019-07-16 OneTrust, LLC Data processing systems for integration of consumer feedback with data subject access requests and related methods
US11057356B2 (en) 2016-06-10 2021-07-06 OneTrust, LLC Automated data processing systems and methods for automatically processing data subject access requests using a chatbot
US11366909B2 (en) 2016-06-10 2022-06-21 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US11200341B2 (en) 2016-06-10 2021-12-14 OneTrust, LLC Consent receipt management systems and related methods
US11222142B2 (en) 2016-06-10 2022-01-11 OneTrust, LLC Data processing systems for validating authorization for personal data collection, storage, and processing
US10452866B2 (en) 2016-06-10 2019-10-22 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US11416109B2 (en) 2016-06-10 2022-08-16 OneTrust, LLC Automated data processing systems and methods for automatically processing data subject access requests using a chatbot
US11675929B2 (en) 2016-06-10 2023-06-13 OneTrust, LLC Data processing consent sharing systems and related methods
US10585968B2 (en) 2016-06-10 2020-03-10 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US11354434B2 (en) 2016-06-10 2022-06-07 OneTrust, LLC Data processing systems for verification of consent and notice processing and related methods
US11144622B2 (en) 2016-06-10 2021-10-12 OneTrust, LLC Privacy management systems and methods
US11295316B2 (en) 2016-06-10 2022-04-05 OneTrust, LLC Data processing systems for identity validation for consumer rights requests and related methods
US11354435B2 (en) 2016-06-10 2022-06-07 OneTrust, LLC Data processing systems for data testing to confirm data deletion and related methods
US11520928B2 (en) 2016-06-10 2022-12-06 OneTrust, LLC Data processing systems for generating personal data receipts and related methods
US10509894B2 (en) 2016-06-10 2019-12-17 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US10452864B2 (en) 2016-06-10 2019-10-22 OneTrust, LLC Data processing systems for webform crawling to map processing activities and related methods
US11151233B2 (en) 2016-06-10 2021-10-19 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US11222309B2 (en) 2016-06-10 2022-01-11 OneTrust, LLC Data processing systems for generating and populating a data inventory
US11416798B2 (en) 2016-06-10 2022-08-16 OneTrust, LLC Data processing systems and methods for providing training in a vendor procurement process
US11277448B2 (en) 2016-06-10 2022-03-15 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US10416966B2 (en) 2016-06-10 2019-09-17 OneTrust, LLC Data processing systems for identity validation of data subject access requests and related methods
US11025675B2 (en) 2016-06-10 2021-06-01 OneTrust, LLC Data processing systems and methods for performing privacy assessments and monitoring of new versions of computer code for privacy compliance
US10726158B2 (en) 2016-06-10 2020-07-28 OneTrust, LLC Consent receipt management and automated process blocking systems and related methods
US10565397B1 (en) 2016-06-10 2020-02-18 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US10565236B1 (en) 2016-06-10 2020-02-18 OneTrust, LLC Data processing systems for generating and populating a data inventory
US10997318B2 (en) 2016-06-10 2021-05-04 OneTrust, LLC Data processing systems for generating and populating a data inventory for processing data access requests
US11228620B2 (en) 2016-06-10 2022-01-18 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US11222139B2 (en) 2016-06-10 2022-01-11 OneTrust, LLC Data processing systems and methods for automatic discovery and assessment of mobile software development kits
US10282700B2 (en) 2016-06-10 2019-05-07 OneTrust, LLC Data processing systems for generating and populating a data inventory
US10467432B2 (en) 2016-06-10 2019-11-05 OneTrust, LLC Data processing systems for use in automatically generating, populating, and submitting data subject access requests
US10896394B2 (en) 2016-06-10 2021-01-19 OneTrust, LLC Privacy management systems and methods
US10708305B2 (en) 2016-06-10 2020-07-07 OneTrust, LLC Automated data processing systems and methods for automatically processing requests for privacy-related information
US10776517B2 (en) 2016-06-10 2020-09-15 OneTrust, LLC Data processing systems for calculating and communicating cost of fulfilling data subject access requests and related methods
US10169609B1 (en) 2016-06-10 2019-01-01 OneTrust, LLC Data processing systems for fulfilling data subject access requests and related methods
US11341447B2 (en) 2016-06-10 2022-05-24 OneTrust, LLC Privacy management systems and methods
US10762236B2 (en) 2016-06-10 2020-09-01 OneTrust, LLC Data processing user interface monitoring systems and related methods
US11074367B2 (en) 2016-06-10 2021-07-27 OneTrust, LLC Data processing systems for identity validation for consumer rights requests and related methods
US11625502B2 (en) 2016-06-10 2023-04-11 OneTrust, LLC Data processing systems for identifying and modifying processes that are subject to data subject access requests
US11328092B2 (en) 2016-06-10 2022-05-10 OneTrust, LLC Data processing systems for processing and managing data subject access in a distributed environment
US10706131B2 (en) 2016-06-10 2020-07-07 OneTrust, LLC Data processing systems and methods for efficiently assessing the risk of privacy campaigns
US11294939B2 (en) 2016-06-10 2022-04-05 OneTrust, LLC Data processing systems and methods for automatically detecting and documenting privacy-related aspects of computer software
US10873606B2 (en) 2016-06-10 2020-12-22 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US10282559B2 (en) 2016-06-10 2019-05-07 OneTrust, LLC Data processing systems for identifying, assessing, and remediating data processing risks using data modeling techniques
US10284604B2 (en) 2016-06-10 2019-05-07 OneTrust, LLC Data processing and scanning systems for generating and populating a data inventory
US11210420B2 (en) 2016-06-10 2021-12-28 OneTrust, LLC Data subject access request processing systems and related methods
US11481710B2 (en) 2016-06-10 2022-10-25 OneTrust, LLC Privacy management systems and methods
US10642870B2 (en) 2016-06-10 2020-05-05 OneTrust, LLC Data processing systems and methods for automatically detecting and documenting privacy-related aspects of computer software
US11418492B2 (en) 2016-06-10 2022-08-16 OneTrust, LLC Data processing systems and methods for using a data model to select a target data asset in a data migration
US10565161B2 (en) 2016-06-10 2020-02-18 OneTrust, LLC Data processing systems for processing data subject access requests
US11438386B2 (en) 2016-06-10 2022-09-06 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US10275614B2 (en) 2016-06-10 2019-04-30 OneTrust, LLC Data processing systems for generating and populating a data inventory
US10685140B2 (en) 2016-06-10 2020-06-16 OneTrust, LLC Consent receipt management systems and related methods
US11188862B2 (en) 2016-06-10 2021-11-30 OneTrust, LLC Privacy management systems and methods
US10606916B2 (en) 2016-06-10 2020-03-31 OneTrust, LLC Data processing user interface monitoring systems and related methods
US10678945B2 (en) 2016-06-10 2020-06-09 OneTrust, LLC Consent receipt management systems and related methods
US11023842B2 (en) 2016-06-10 2021-06-01 OneTrust, LLC Data processing systems and methods for bundled privacy policies
US10572686B2 (en) 2016-06-10 2020-02-25 OneTrust, LLC Consent receipt management systems and related methods
US11416589B2 (en) 2016-06-10 2022-08-16 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US10796260B2 (en) 2016-06-10 2020-10-06 OneTrust, LLC Privacy management systems and methods
US11403377B2 (en) 2016-06-10 2022-08-02 OneTrust, LLC Privacy management systems and methods
US10204154B2 (en) 2016-06-10 2019-02-12 OneTrust, LLC Data processing systems for generating and populating a data inventory
US10235534B2 (en) 2016-06-10 2019-03-19 OneTrust, LLC Data processing systems for prioritizing data subject access requests for fulfillment and related methods
US11416590B2 (en) 2016-06-10 2022-08-16 OneTrust, LLC Data processing and scanning systems for assessing vendor risk
US10783256B2 (en) 2016-06-10 2020-09-22 OneTrust, LLC Data processing systems for data transfer risk identification and related methods
US10848523B2 (en) 2016-06-10 2020-11-24 OneTrust, LLC Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods
US11562097B2 (en) 2016-06-10 2023-01-24 OneTrust, LLC Data processing systems for central consent repository and related methods
US10440062B2 (en) 2016-06-10 2019-10-08 OneTrust, LLC Consent receipt management systems and related methods
US10509920B2 (en) 2016-06-10 2019-12-17 OneTrust, LLC Data processing systems for processing data subject access requests
US10839102B2 (en) 2016-06-10 2020-11-17 OneTrust, LLC Data processing systems for identifying and modifying processes that are subject to data subject access requests
KR102367738B1 (ko) * 2016-11-09 2022-02-25 한국전자기술연구원 가상 리소스의 그룹 멤버 유효성 검증 방법
US10505924B1 (en) 2016-12-09 2019-12-10 Wells Fargo Bank, N.A. Defined zone of authentication
US20180204215A1 (en) * 2017-01-17 2018-07-19 Hung-Tzaw Hu Detecting electronic intruders via updatable data structures
US11120057B1 (en) 2017-04-17 2021-09-14 Microstrategy Incorporated Metadata indexing
US10897462B2 (en) * 2017-05-16 2021-01-19 Citrix Systems, Inc. Systems and methods for encoding additional authentication data into an active directory security identifier
US10013577B1 (en) 2017-06-16 2018-07-03 OneTrust, LLC Data processing systems for identifying whether cookies contain personally identifying information
US11245701B1 (en) 2018-05-30 2022-02-08 Amazon Technologies, Inc. Authorization pre-processing for network-accessible service requests
US11544409B2 (en) 2018-09-07 2023-01-03 OneTrust, LLC Data processing systems and methods for automatically protecting sensitive data within privacy management systems
US11144675B2 (en) 2018-09-07 2021-10-12 OneTrust, LLC Data processing systems and methods for automatically protecting sensitive data within privacy management systems
US10803202B2 (en) 2018-09-07 2020-10-13 OneTrust, LLC Data processing systems for orphaned data identification and deletion and related methods
CA3052884C (en) 2018-12-28 2022-05-17 Alibaba Group Holding Limited Parallel execution of transactions in a blockchain network based on smart contract whitelists
MX2019009286A (es) * 2018-12-28 2019-10-30 Alibaba Group Holding Ltd Ejecucion en paralelo de transacciones en una red de cadena de bloques.
US10735516B1 (en) 2019-02-15 2020-08-04 Signiant Inc. Cloud-based authority to enhance point-to-point data transfer with machine learning
US11516213B2 (en) 2019-09-18 2022-11-29 Microstrategy Incorporated Authentication for requests from third-party interfaces
US11954218B2 (en) 2020-02-10 2024-04-09 Visa International Service Association Real-time access rules using aggregation of periodic historical outcomes
US11457017B2 (en) 2020-03-04 2022-09-27 The Whisper Company System and method of determing persistent presence of an authorized user while performing an allowed operation on an allowed resource of the system under a certain context-sensitive restriction
KR102359467B1 (ko) * 2020-07-08 2022-02-08 인제대학교 산학협력단 스토리지 활용 이력에 기반한 비용 책정 방법 및 시스템
EP4179435A1 (en) 2020-07-08 2023-05-17 OneTrust LLC Systems and methods for targeted data discovery
WO2022026564A1 (en) 2020-07-28 2022-02-03 OneTrust, LLC Systems and methods for automatically blocking the use of tracking tools
US11475165B2 (en) 2020-08-06 2022-10-18 OneTrust, LLC Data processing systems and methods for automatically redacting unstructured data from a data subject access request
WO2022060860A1 (en) 2020-09-15 2022-03-24 OneTrust, LLC Data processing systems and methods for detecting tools for the automatic blocking of consent requests
WO2022061270A1 (en) 2020-09-21 2022-03-24 OneTrust, LLC Data processing systems and methods for automatically detecting target data transfers and target data processing
US11550942B2 (en) * 2020-10-27 2023-01-10 Bull Sas Universal file access control system and method
US11397819B2 (en) 2020-11-06 2022-07-26 OneTrust, LLC Systems and methods for identifying data processing activities based on data discovery results
WO2022159901A1 (en) 2021-01-25 2022-07-28 OneTrust, LLC Systems and methods for discovery, classification, and indexing of data in a native computing system
US11442906B2 (en) 2021-02-04 2022-09-13 OneTrust, LLC Managing custom attributes for domain objects defined within microservices
WO2022170254A1 (en) 2021-02-08 2022-08-11 OneTrust, LLC Data processing systems and methods for anonymizing data samples in classification analysis
US11601464B2 (en) 2021-02-10 2023-03-07 OneTrust, LLC Systems and methods for mitigating risks of third-party computing system functionality integration into a first-party computing system
US11775348B2 (en) 2021-02-17 2023-10-03 OneTrust, LLC Managing custom workflows for domain objects defined within microservices
WO2022178219A1 (en) 2021-02-18 2022-08-25 OneTrust, LLC Selective redaction of media content
EP4305539A1 (en) 2021-03-08 2024-01-17 OneTrust, LLC Data transfer discovery and analysis systems and related methods
US11562078B2 (en) 2021-04-16 2023-01-24 OneTrust, LLC Assessing and managing computational risk involved with integrating third party computing functionality within a computing system
US11620142B1 (en) 2022-06-03 2023-04-04 OneTrust, LLC Generating and customizing user interfaces for demonstrating functions of interactive user environments

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB9104909D0 (en) 1991-03-08 1991-04-24 Int Computers Ltd Access control in a distributed computer system
US5544322A (en) * 1994-05-09 1996-08-06 International Business Machines Corporation System and method for policy-based inter-realm authentication within a distributed processing system
US5550981A (en) * 1994-06-21 1996-08-27 At&T Global Information Solutions Company Dynamic binding of network identities to locally-meaningful identities in computer networks
CA2138302C (en) * 1994-12-15 1999-05-25 Michael S. Fortinsky Provision of secure access to external resources from a distributed computing environment
US7761910B2 (en) * 1994-12-30 2010-07-20 Power Measurement Ltd. System and method for assigning an identity to an intelligent electronic device
US7188003B2 (en) * 1994-12-30 2007-03-06 Power Measurement Ltd. System and method for securing energy management systems
US5864665A (en) * 1996-08-20 1999-01-26 International Business Machines Corporation Auditing login activity in a distributed computing environment
US6055637A (en) * 1996-09-27 2000-04-25 Electronic Data Systems Corporation System and method for accessing enterprise-wide resources by presenting to the resource a temporary credential
US6092196A (en) * 1997-11-25 2000-07-18 Nortel Networks Limited HTTP distributed remote user authentication system
US6785015B1 (en) * 1999-11-12 2004-08-31 Hewlett-Packard Development Company, L.P. System and method for monitoring a computer system process or peripheral
HK1023695A2 (en) * 2000-02-19 2000-08-11 Nice Talent Ltd Service sign on
US20020150253A1 (en) * 2001-04-12 2002-10-17 Brezak John E. Methods and arrangements for protecting information in forwarded authentication messages
JP4475646B2 (ja) * 2004-08-27 2010-06-09 キヤノン株式会社 画像表示装置

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8104074B2 (en) 2006-02-24 2012-01-24 Microsoft Corporation Identity providers in digital identity system
US8117459B2 (en) 2006-02-24 2012-02-14 Microsoft Corporation Personal identification information schemas
US8078880B2 (en) 2006-07-28 2011-12-13 Microsoft Corporation Portable personal identity information
US8087072B2 (en) 2007-01-18 2011-12-27 Microsoft Corporation Provisioning of digital identity representations
US8407767B2 (en) 2007-01-18 2013-03-26 Microsoft Corporation Provisioning of digital identity representations
US8689296B2 (en) 2007-01-26 2014-04-01 Microsoft Corporation Remote access of digital identities
CN101589361B (zh) * 2007-01-26 2014-06-18 微软公司 控制数字身份表示的分发和使用的方法
US9521131B2 (en) 2007-01-26 2016-12-13 Microsoft Technology Licensing, Llc Remote access of digital identities
CN103370902A (zh) * 2011-02-09 2013-10-23 三星电子株式会社 用于控制装置之间的连接的方法和设备
CN103370902B (zh) * 2011-02-09 2017-09-15 三星电子株式会社 用于控制装置之间的连接的方法和设备
US9781101B2 (en) 2011-02-09 2017-10-03 Samsung Electronics Co., Ltd Method and apparatus for controlling connection between devices
US11075898B2 (en) 2011-02-09 2021-07-27 Samsung Electronics Co., Ltd. Method and apparatus for controlling connection between devices
CN106415572A (zh) * 2014-01-24 2017-02-15 微软技术许可有限责任公司 用于授权连接的设备请求的安全加密处理器

Also Published As

Publication number Publication date
AU2003203708A1 (en) 2003-11-27
EP1939707B1 (en) 2011-12-21
RU2008118949A (ru) 2009-11-20
KR20030087990A (ko) 2003-11-15
EP1939707A1 (en) 2008-07-02
HK1060201A1 (en) 2004-07-30
ZA200302999B (en) 2003-10-16
RU2337399C2 (ru) 2008-10-27
BR0301034A (pt) 2004-08-17
CA2424782A1 (en) 2003-11-10
RU2390838C2 (ru) 2010-05-27
KR100986568B1 (ko) 2010-10-07
DE60321618D1 (de) 2008-07-31
JP2004005647A (ja) 2004-01-08
TWI353154B (en) 2011-11-21
EP1361494A3 (en) 2004-01-14
EP1361494A2 (en) 2003-11-12
PL359993A1 (en) 2003-11-17
TW200400741A (en) 2004-01-01
US20030212806A1 (en) 2003-11-13
AU2003203708B2 (en) 2009-12-10
JP4756817B2 (ja) 2011-08-24
MXPA03003709A (es) 2005-02-14
ATE538443T1 (de) 2012-01-15
EP1361494B1 (en) 2008-06-18
NO20032094L (no) 2003-11-11
ATE398799T1 (de) 2008-07-15
NO20032094D0 (no) 2003-05-09
MY145724A (en) 2012-03-30
CN100367249C (zh) 2008-02-06
US7401235B2 (en) 2008-07-15

Similar Documents

Publication Publication Date Title
CN1456983A (zh) 基于外部身份认证的坚持授权上下文
US9092637B2 (en) Profile and consent accrual
Chadwick Federated identity management
AU2007200114B2 (en) Methods and systems for controlling the scope of delegation of authentication credentials
TWI438642B (zh) 供應數位身份表徵的系統及方法
RU2475840C2 (ru) Предоставление цифровых удостоверений
US9003507B2 (en) System and method for providing a certificate to a third party request
CN1732465A (zh) 在异构联合环境中统一注销的方法和系统
US20130097688A1 (en) Service oriented secure collaborative system for compartmented networks
CN1726690A (zh) 用于异构型联合环境中的本机认证协议的方法和系统
CN1602601A (zh) 用于自动鉴定,处理和发布数字证书的方法和系统
CN1943204A (zh) 通信系统中数据的控制使用
CN1960244A (zh) 允许多个用户同时登录的信息处理装置及其控制方法
Glöckler et al. A systematic review of identity and access management requirements in enterprises and potential contributions of self-sovereign identity
Haidar et al. Audited credential delegation: a usable security solution for the virtual physiological human toolkit
Wilson et al. Sample Application with Custom API
Wallom et al. ShibGrid, a Shibboleth based access method for the National Grid Service
Meints D3. 17: Identity Management Systems–recent
Ferrari Emerging Trends in Access Control

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: MICROSOFT TECHNOLOGY LICENSING LLC

Free format text: FORMER OWNER: MICROSOFT CORP.

Effective date: 20150506

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150506

Address after: Washington State

Patentee after: Micro soft technique license Co., Ltd

Address before: Washington State

Patentee before: Microsoft Corp.

CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20080206

Termination date: 20200509

CF01 Termination of patent right due to non-payment of annual fee